Man mietet auf Akash eine NVIDIA H100 f\u00fcr einen Bruchteil dessen, was die gro\u00dfen Cloud-Anbieter verlangen. Irgendwo auf der Welt nimmt ein anonymer Betreiber das Gebot an, der Container startet, das Modell beginnt zu rechnen. F\u00fcr ein Bastelprojekt oder ein offenes Basismodell ist das ein hervorragendes Gesch\u00e4ft. Doch in dem Moment, in dem sensible Daten oder propriet\u00e4re Modellgewichte ins Spiel kommen, stellt sich eine unbequeme Frage: Wem geh\u00f6rt die Maschine, auf der das alles l\u00e4uft, und was genau kann diese Person sehen?<\/p>
Genau dort, nicht beim Preis, liegt die eigentliche H\u00fcrde f\u00fcr dezentrale KI-Infrastruktur. Den Preiskampf hat Akash l\u00e4ngst gewonnen. Eine H100-Stunde kostet auf dem Marktplatz regelm\u00e4\u00dfig weniger als ein Drittel des Tarifs, den ein Hyperscaler aufruft. Was fehlte, war ein belastbares Versprechen, dass der Eigent\u00fcmer der GPU die Daten des Mieters nicht mitlesen, kopieren oder protokollieren kann. Die Antwort des Projekts f\u00fcr das Jahr 2026 hei\u00dft Confidential Computing, und ihr technisches Fundament, die Spezifikation AEP-83, hat im Juli den Status „Final“ erreicht (akash.network<\/a>).<\/p> Der AKT-Token notierte am 18. September bei rund 0,49 Euro (0,56 US-Dollar), ein Tagesplus von etwa neun Prozent, nachdem der breite Kryptomarkt die Zinsanhebung der US-Notenbank vom 16. September verdaut hatte<\/a> (CoinGecko<\/a>). Kursspr\u00fcnge dieser Art sagen wenig \u00fcber die Substanz aus. Die interessantere Frage ist, ob Akash das Vertrauensproblem technisch so l\u00f6st, dass ernsthafte Anwender, also Kliniken, Banken und Modellanbieter, \u00fcberhaupt erst zuh\u00f6ren. Dieser Text schaut sich an, was sich \u00e4ndert, wenn die gemietete Maschine die Geheimnisse ihres Mieters nicht mehr lesen kann, und wo die Grenzen dieses Versprechens liegen.<\/p> Akash verkauft Rechenzeit, wie ein Marktplatz Werkzeug vermietet: Wer eine GPU \u00fcbrig hat, stellt sie ein, wer eine braucht, bietet darauf. Das dr\u00fcckt den Preis, und genau das war jahrelang das Verkaufsargument. Doch Preis ist nur die halbe Rechnung. Wer ein Sprachmodell trainiert hat, das einen zweistelligen Millionenbetrag gekostet hat, betrachtet die fertigen Gewichte als Kronjuwelen. Diese Gewichte auf die Maschine eines wildfremden Anbieters zu laden, der physischen Zugriff auf den Server hat, ist f\u00fcr ein ernsthaftes Labor schlicht keine Option, so niedrig der Stundensatz auch sein mag.<\/p> Noch enger wird es bei regulierten Daten. Patientenakten, die Transaktionsdaten einer Bank, personenbezogene Informationen jeder Art unterliegen in der EU der Datenschutz-Grundverordnung. Sie auf einem unbekannten Rechner in einer unbekannten Rechtsordnung zu verarbeiten, ohne technische Garantie, dass niemand mitliest, ist ein Compliance-Problem, das kein Einkaufspreis wettmacht. Das erkl\u00e4rt, warum der dezentrale GPU-Markt bislang vor allem f\u00fcr offene, unkritische Arbeitslasten attraktiv war, w\u00e4hrend die wertvolle Arbeit auf teuren, aber vertrauten Clouds blieb.<\/p> Die Wette hinter Confidential Computing lautet: Wenn Akash das Vertrauensproblem technisch l\u00f6st, \u00f6ffnet sich ein Markt, der um ein Vielfaches gr\u00f6\u00dfer und margentr\u00e4chtiger ist als das heutige Gesch\u00e4ft mit Startups und Einzelentwicklern. Der Preisvorteil bleibt, das Vertrauensdefizit f\u00e4llt. Ob die Rechnung aufgeht, h\u00e4ngt weniger an der Spezifikation, die inzwischen steht, als an Angebot und Nachfrage. Darauf kommen wir zur\u00fcck.<\/p> Wer verstehen will, warum das Vertrauensproblem so hartn\u00e4ckig ist, muss die Mechanik kennen. Ein Mieter beschreibt seine Arbeitslast in einer SDL-Datei (Stack Definition Language): wie viele GPUs, wie viel Arbeitsspeicher, welches Container-Image. Diese Bestellung geht an den Marktplatz, Anbieter geben Gebote ab, und der Mieter w\u00e4hlt aus. Wichtig: Er muss nicht das billigste Angebot nehmen. Reputation, Standort und Verf\u00fcgbarkeit flie\u00dfen in die Entscheidung ein. Kommt ein Lease zustande, hinterlegt der Mieter AKT in einem Escrow, aus dem der Anbieter laufend bezahlt wird. Bedient wird das Ganze \u00fcber die Akash Console oder Kommandozeilen-Werkzeuge.<\/p> Diese Reverse-Auktion ist der Grund f\u00fcr die niedrigen Preise, und zugleich die Wurzel des Vertrauensproblems. Der Markt ist erlaubnisfrei: Prinzipiell kann jeder mit einer GPU und einem Kubernetes-Cluster Anbieter werden. Genau diese Offenheit macht die Kapazit\u00e4t billig, aber sie bedeutet auch, dass hinter einer angenommenen Wette ein Rechenzentrum in Frankfurt, eine Bastelmaschine in einem Keller oder ein Akteur mit unklaren Absichten stehen kann. Wer heute die GPUs liefert und warum das Angebot zuletzt geschrumpft ist, hat HOGE Wire in einer eigenen Analyse zur Angebotsseite<\/a> aufgeschl\u00fcsselt. F\u00fcr den vorliegenden Text z\u00e4hlt vor allem eine Konsequenz: Ohne technischen Schutz muss der Mieter dem Anbieter blind vertrauen.<\/p> Es lohnt sich, das Bedrohungsmodell n\u00fcchtern durchzuspielen. Der Anbieter besitzt die physische Maschine und hat auf ihr die h\u00f6chsten Rechte. Ohne besondere Vorkehrungen kann ein neugieriger oder b\u00f6swilliger Betreiber den Arbeitsspeicher der laufenden Prozesse auslesen, den Grafikspeicher der GPU auslesen, in dem Modellgewichte und Zwischenergebnisse liegen, den Datenverkehr in den und aus dem Container mitschneiden, das Dateisystem des Containers kopieren oder still einen Mitschnitt einschleusen. Nichts davon erfordert einen Einbruch in die Software des Mieters; es gen\u00fcgt der Zugriff auf die Ebene darunter.<\/p> \u00dcbliche Schutzma\u00dfnahmen greifen hier zu kurz. Festplattenverschl\u00fcsselung hilft nicht, wenn das Modell zur Laufzeit im Klartext im Arbeitsspeicher liegt. Eine verschl\u00fcsselte Verbindung sch\u00fctzt die Daten auf dem Weg, nicht am Ziel. Selbst ein sorgf\u00e4ltig geh\u00e4rtetes Container-Image n\u00fctzt wenig, wenn der Betreiber eine Ebene tiefer ansetzt, im Hypervisor oder direkt an der Hardware. Deshalb konnten reine Software-L\u00f6sungen dieses Problem nie vollst\u00e4ndig l\u00f6sen, und deshalb nimmt die Industrie den Umweg \u00fcber die Hardware. Ohne eine im Chip verankerte Vertrauenswurzel bleibt jede Zusicherung eine Frage des guten Willens.<\/p> Der oft bem\u00fchte Vergleich mit einer Ferienwohnung trifft es fast, geht aber nicht weit genug. Es ist eine Ferienwohnung, in der der Vermieter einen Zweitschl\u00fcssel beh\u00e4lt, die Post \u00f6ffnen und die Gespr\u00e4che mith\u00f6ren darf. In der \u00fcberwiegenden Zahl der F\u00e4lle geschieht nichts davon. Doch „passiert wahrscheinlich nicht“ ist keine Sicherheitsarchitektur, mit der eine Rechtsabteilung oder ein Auditor leben kann. Genau diese L\u00fccke soll Confidential Computing schlie\u00dfen: nicht das Verhalten des Anbieters bewerten, sondern ihm die technische M\u00f6glichkeit nehmen, \u00fcberhaupt hineinzusehen.<\/p> Ein Trusted Execution Environment (TEE) ist ein abgeschotteter Bereich in einem Prozessor, dessen Arbeitsspeicher im laufenden Betrieb mit einem Schl\u00fcssel verschl\u00fcsselt ist, den nur der Chip selbst kennt. Weder das Betriebssystem noch der Hypervisor noch der Eigent\u00fcmer der Maschine k\u00f6nnen den Klartext sehen. Die einschl\u00e4gigen Technologien hei\u00dfen bei AMD SEV-SNP und bei Intel TDX. Dazu kommt die sogenannte Remote Attestation: Der Chip stellt einen hardwaresignierten Bericht aus, der beweist, dass ein echtes Enclave mit einem bestimmten, gemessenen Software-Image l\u00e4uft, bevor der Mieter \u00fcberhaupt Geheimnisse \u00fcbertr\u00e4gt. Daten im Ruhezustand (Festplattenverschl\u00fcsselung) und Daten in Bewegung (TLS) waren seit Langem gel\u00f6st; das TEE schlie\u00dft die letzte offene L\u00fccke, die Daten in Verarbeitung.<\/p> „Attestierung“ ist dabei das eigentliche Kernst\u00fcck, nicht die Verschl\u00fcsselung allein. Der signierte Bericht enth\u00e4lt eine Messung (einen Hashwert) des gebooteten Images. Der Mieter vergleicht diesen Wert mit dem, was er erwartet, und \u00fcbergibt Modell oder Daten erst, wenn er stimmt. F\u00e4llt die Pr\u00fcfung durch, etwa weil der Anbieter eine manipulierte Firmware f\u00e4hrt, bleibt der geheime Kanal geschlossen. Aus einem „Vertrau mir“ des Anbieters wird so ein „Beweise es mir“ der Hardware. Genau diese Umkehr macht Confidential Computing f\u00fcr regulierte Branchen \u00fcberhaupt erst interessant.<\/p> Der zugeh\u00f6rige Akash Engineering Proposal tr\u00e4gt die Nummer 83 und den Titel Confidential Compute via Kata Containers. Er hat den Status „Final“ erreicht, mit Abschlussdatum 17. Juli 2026 und letzter \u00c4nderung am 16. Juni 2026 (akash.network<\/a>). Bemerkenswert ist die Einfachheit an der Oberfl\u00e4che: Der Mieter setzt in seiner SDL genau eine Zeile, den Rest erledigt die Plattform.<\/p> Begleitet wird die Spezifikation von einem quelloffenen SDK f\u00fcr Confidential Compute, das Entwicklern und Anbietern die Integration erleichtern soll (GitHub, Akash Network<\/a>). F\u00fcr ein Krypto-Projekt ist diese Tiefe ungew\u00f6hnlich. Es handelt sich nicht um ein Whitepaper-Versprechen, sondern um handfeste Systemtechnik: RuntimeClasses, Attestierungs-Sidecars, hardwaregest\u00fctzte Messungen. Das ist die gute Nachricht. Die weniger gute betrifft, wie viele Anbieter die daf\u00fcr n\u00f6tige Hardware tats\u00e4chlich betreiben, dazu weiter unten.<\/p> Der Weg \u00fcber Kata Containers ist eine bewusste Designentscheidung. Statt Entwickler zu zwingen, ihre Anwendungen f\u00fcr ein spezielles Enclave-SDK umzuschreiben, kapselt Akash die gewohnte Container-Arbeitslast in eine leichtgewichtige virtuelle Maschine, die im TEE l\u00e4uft. Der Mieter \u00e4ndert im Idealfall nichts an seinem Image, nur eine Zeile in der SDL. Der Preis daf\u00fcr ist eine zus\u00e4tzliche Virtualisierungsschicht mit etwas Overhead. F\u00fcr die Verbreitung ist dieser Kompromiss klug: Die H\u00fcrde, vertraulich zu deployen, sinkt von „Anwendung neu schreiben“ auf „ein Flag setzen“.<\/p> Der schwierige Teil ist die GPU. Ein verschl\u00fcsselter Arbeitsspeicher auf der CPU n\u00fctzt wenig, wenn die Modellgewichte anschlie\u00dfend ungesch\u00fctzt \u00fcber den PCIe-Bus in den Grafikspeicher wandern. NVIDIAs Datacenter-GPUs der Hopper- und Blackwell-Generation l\u00f6sen das \u00fcber einen Confidential-Computing-Modus. Auf Akash wird die GPU per VFIO in die Kata-Micro-VM durchgereicht und muss dabei im CC-Modus laufen. Die CPU im TEE fungiert als Vertrauensanker: Die GPU ist kein eigenst\u00e4ndiges TEE, sondern h\u00e4ngt an der CPU, die den sicheren Kanal (eine SPDM-Sitzung) aufbaut und den Attestierungsablauf steuert (NVIDIA-Dokumentation<\/a>).<\/p> Beim Datenaustausch zwischen CPU und GPU werden die Inhalte \u00fcber den PCIe-Bus mit AES-GCM-256 verschl\u00fcsselt und \u00fcber sogenannte Bounce Buffers geschleust. Die Attestierung ist zusammengesetzt: \u00dcber die NVIDIA-Treiber innerhalb der Kata-VM werden pro GPU signierte Berichte eingesammelt und gegen NVIDIAs Reference Integrity Manifest (RIM) gepr\u00fcft, zus\u00e4tzlich zur CPU-Attestierung. Erst wenn beide Berichte stimmen, ist die Kette vom Prozessor bis zum Grafikchip geschlossen. Das kostet Leistung: Verschl\u00fcsselung \u00fcber den Bus und Bounce Buffers bremsen den Durchsatz, in vielen F\u00e4llen im einstelligen bis niedrigen zweistelligen Prozentbereich. F\u00fcr vertrauliche Arbeitslasten ist das ein akzeptabler Aufpreis, f\u00fcr ein maximal ausgereiztes Trainingsbudget m\u00f6glicherweise nicht.<\/p> Eine praktische Einschr\u00e4nkung bleibt: Confidential Computing auf der GPU setzt bestimmte NVIDIA-Generationen voraus, in der Praxis Hopper (H100, H200) und Blackwell. \u00c4ltere Karten und Consumer-Modelle fallen heraus. Auch Aufbauten mit mehreren \u00fcber NVLink gekoppelten GPUs im vertraulichen Modus sind technisch jung und noch nicht \u00fcberall verf\u00fcgbar. F\u00fcr einzelne Inferenz-Instanzen ist die Technik heute einsatzreif, f\u00fcr sehr gro\u00dfe, eng gekoppelte Trainingsl\u00e4ufe steht der reibungslose Betrieb im vertraulichen Modus vielerorts noch aus. Das verschiebt den ersten realistischen Anwendungsfall klar Richtung Inferenz, nicht Training.<\/p> An dieser Stelle lohnt eine Unterscheidung, die im Marketing oft verschwimmt. Confidential Computing sch\u00fctzt zwei Dinge: die Vertraulichkeit der Daten und die Integrit\u00e4t des geladenen Images. Weil die Attestierung misst, welcher Code gebootet ist, kann ein Anbieter nicht heimlich ein anderes Programm unterschieben, ohne dass die Messung und damit die Attestierung fehlschl\u00e4gt. Das ist stark. Es ist aber nicht dasselbe wie Verifizierbarkeit.<\/p> Die gesamte Garantie eines TEE ruht darauf, dass man den Chip-Herstellern (Intel, AMD, NVIDIA) und ihren Attestierungsdiensten vertraut. TEEs haben zudem eine dokumentierte Geschichte von Seitenkanalangriffen und Firmware-Schw\u00e4chen. Sie sind nicht vertrauenslos, sie verlagern das Vertrauen nur von einem anonymen Anbieter auf eine Handvoll Halbleiterkonzerne. Verifizierbares Rechnen mit kryptografischen Beweisen, etwa zkML, geht den anderen Weg: Es belegt mathematisch, dass eine Berechnung korrekt ausgef\u00fchrt wurde, ganz ohne Hardware-Vertrauen, kostet daf\u00fcr aber oft das Hundert- bis Tausendfache an Rechenleistung. Wer die Frage „lief wirklich mein Modell, und lief es richtig?“ kryptografisch beantworten will, landet bei Ans\u00e4tzen, wie sie HOGE Wire am Beispiel von opML und tokenisierten Modellen<\/a> beschrieben hat. Akash ist eine Confidential-Compute-Plattform, kein Verifizierbarkeitsnetz. Die folgende Tabelle stellt beide Ans\u00e4tze gegen\u00fcber.<\/p>Das eigentliche Hindernis ist nicht der Preis<\/h2>
Wie der Marktplatz \u00fcberhaupt funktioniert<\/h2>
Was auf einer fremden GPU alles schieflaufen kann<\/h2>
Confidential Computing, in einem Absatz erkl\u00e4rt<\/h2>
AEP-83: Akashs Antwort in der Praxis<\/h2>
Die GPU im versiegelten Umschlag<\/h2>
Vertraulich hei\u00dft nicht \u00fcberpr\u00fcfbar<\/h2>